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(§) Elektromechanisches Bremssystem 

@ Die Erfindung betrifft ein elektromechanisches Brems- g at <| Bat 2 

system, insbesondere fur Kraftfahrzeuge, mit einem Pe- 
dalsimulator (1) und Bremsmodulen (7). Weiterhin ist ein 
Zentralmodul (6) vorgesehen. Die Verbindung zwischen 
den vorgenannten Modulen kann durch einen Datenbus 
(5) erfolgen. Das Zentralmodul (6) wertet Bremswunsch- 
signale einer Sensorik (3) aus und uberpruft, ob Fehler 
vorliegen. Weiterhin gibt das Zentralmodul (6) einen ent- 
sprechenden Bremssollwert aus, basierend auf dem 
Bremswunsch und eventuell hoheren Funktionen wie 
ABS, ASR, usw. Der Bremssollwert wird dann an die 
Bremsmodule (7) weitergeleitet. Die Bremsmodule (7) er- 
mitteln daraufhin entsprechende Ansteuersignale fur die 
Aktoren (8), die in eine Wirkverbindung mit den Radern 
(9)treten, um den Bremswunsch des Fahrers umzusetzen. 
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Beschreibung 

Die Erfindung betrifft ein elektromechanischcs Bremssy- 
stem und ein Verfahren zur Steuerung eines elekromechani- 
schen Bremssvstems, die durch den Einsatz eines Bussy- 
siems und durch lehlercrkennende Module die Systemsi- 
cherheit bei einer gleichzeitigen kostengiinstigen Realisie- 
rung erhohen. 

Die Untersuchung elektrischer Bremssysteme ist Be- 
standteil der Entwicklungen in der heutigen Bremsentech- 
nik. Die Hydraulikzylinder, die heute die Bremsbclage ge- 
gen die Bremsscheibe pressen, werden an jeder Scheibe 
durch einen lcistungsfahigen Elektromotor ersetzt. Die elek- 
trische Bremse benotigt kcine mechanischen oder hydrauli- 
schen Teile, wie VakuuinbremskraiYverstarker oder Tan- 
demhauplzylinder. Weitcrhin kann die elektrische Bremse 
heutigc und auch zukiinfiige Funktionen einer Bremse uber- 
nchmcn, wic die Funktionen eines Antiblockicrsystcms 
(ABS), einer Traktionshilfe oder einer Antriebsschlupfrege- 
lung (ASR), einer Fahrstabilitatsregelung (Electronic Stabi- 
lity Program oder ESP) so wie eines automat isc hen Brem- 
seneingriffs, wie cr beispielsweise bei Abstandsregelsyste- 
tnen vorgesehen sein kann. 

Ein Beispiei fur ein solches System ist in der WO 
95/13946 gezeigt. Dieses sog. eleklronisclie Bremssystem 
weist ein Zentralmodul und den Bremskreisen oderRadbau- 
gruppen zugeordnete Brems module auf. Das Zentralmodul 
kann hierbei ABS-/ASR-Berechnungen durchfuhren, kann 
die Bremskraftverteilung einstellen und radspezifische 
Bremsdruck-Sollwerre ennitteln. 

Aus der DE 195 29 434 Al (P 7959) ist ein Mikroprozes- 
sorsystem bekannt, bei dem zwei synchron berriebene Zen- 
traleinheiten, die die gleichen Eingangsinforniationen erhal- 
ten und das gleiche Programm abarbeiten, auf einem oder 
auf mehreren. Chips vorgesehen sind. Die bciden Zentralein- 
heiten sind dabei uber separate Bus-Systeme an die Fest- 
wert- und an die Schreib-Lese-Speicher sowie an Eingabe- 
und Ausgabeeinheiten angeschlossen. Die Bus-Systeme 
sind untereinander durch Treiberstufen bzw. Bypasse ver- 
bunden, die den beiden Zentraleinheiten ein gemeinsames 
Lesen und Abarbeiten der zur Verfugung stehenden Daten, 
einschlieBlich von Priifdaten und Befehle ennoglichen. Das 
System ermoglicht eine Einsparung von Speicherplatz. Nur 
eine der beiden Zentraleinheiten ist mit einem vollwertigen 
Festwert* und einem Schreib-Lese-Speicher verbunden, 
wahrend die Speicherkapazitat des zwei ten Prozessors auf 
Speicherplatze fur Prufdaten beschrankt ist. Zugriff zu alien 
Daten besteht uber die Bypasse. Dadurch sind beide Zentral- 
einheiten in der Lage, jeweils das vollstandige Programm 
abzuarbeiten. 

In den Anmeldungsschriften DE 197 16 197 A 1 (P 9009) 
und DE197 20 618A1 (P 9018) sind Mikroprozessorsy- 
steme fiir sicherheitskritische Regelungen beschrieben, die 
mit mindestens drei, moglichst auf einem Chip angeordne- 
ten Zentraleinheiten, die das gleiche Programm abarbeiten, 
ausgerustet sind. AuBerdem sind Festwertspeicher und 
Schreib-Lese-Speicher mit zusatzlichen Speicherplatzen fiir 
Prufdaten, Eingabe- und Ausgabeeinheiten und Vergleicher 
vorhanden, die die Ausgangssignale der Zentraleinheiten 
auf Ubereinstimmung uberprufen. Die Zentraleinheiten sind 
iiber Bus-Systeme untereinander verbunden, die den Zen- 
traleinheiten ein gemeinsames Lesen und Abarbeiten der an- 
stehenden Daten, einschlieBlich der Prufdaten und Befehle, 
nach dem gleichen Programm ermoglichen. 

Die Zentraleinheiten sind bei dicscn bekannten Systcmcn 
zu zwei vollstandigen Regelungssignalkreisen erweitert und 
derart zusammengeschaltet, daB bei einem Ausfall durch 
Majoritatsentscheid die fehlerhafte Zentraleinheit identifi- 
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ziert und cine Notlauffunktion aufrechl erhalten werden 
kann. 

SchlieBlich ist aus der DE 197 17 686A1 eine Schal- 
tungsanordnung be kann t, die sich eben falls fiir ein sicher- 
5 heitskritisches Regelungssystem eignet und die zwei- oder 
mehrkreisig aufgebaut ist, wobei jeder Kreis ein komplettes 
Mikroprozessorsystem enthalt, welches die Eingangsdatcn 
redundant verarbeitet und beim Auftreten eines Fehlers bzw. 
einer Abweichung zwischen den redundant gewonnenen 
to Datenverarbeitungsergebnissen ein Fehlererkennungssignal 
liefert. Bei Fehlererkennung erfolgt ein Ubergang in eine 
Notlauffunktion. in der entwederein Kreis abgeschaltctodcr 
die Aktuatorbetaligung beidcr Kreise von dem intakten Mi- 
kroprozessorsystem ubernommen wird. Die beiden Systeme 
15 sind mit eigener Peripherie, bestehend aus Signalerfassung, 
Aktuatorbetatigung und Energieversorgung (7, 8), verschen. 

Der vorliegendcn Erfindung liegt die Aufgabc zugrunde, 
ein elektromcchanischcs Brcmssystcm und cin Verfahren 
zum Steuern eines elektromechanischen Brems systems, ins- 
20 besondere fur Kraftfahrzeuge, zu realisieren, die sicher und 
dabei kostengunstig aufgebaut sind sowie einen geringen In- 
stallationsaufwand benotigen. 

Diese Aufgabc wird gemaB den Merkmalen der unabhan- 
gigen Patentanspruche gelost. Die abhangigen Patentan- 
25 sprue he zeigen vorteilhafle Ausfuhrungsfonnen und Weiter- 
entwicklungen der Erfindung auf. 

Die Erfindung beruht auf der Uberlegung, da/3 bei Ver- 
wendung einer fiir sicherheitskritische Regelungssystenie 
geeigneten, redundant ausgelegten und notlauffahigen 
30 Schaltungsanordnung der vorgenannten Art auch die die fur 
ein Brake-by- Wire System erforderliche Betriebssicherheit 
gewahrleistet werden kann. Auf eine redundante Auslegung 
der Rechnermodule, die zur Ansteuerung der einzelnen Rad- 
module dienen, kann dann verzichtet werden. Fiir die Bus- 
35 systeme, die die Regelungsschaltung(en) mit den Radmodu- 
len verbinden, ist dann ebenfalls Redundanz entbehrlich. 
Durch mindestens ein Signal, welches AufschluG uber das 
Raddrehverhalten gibt, wird der Zustand des Radmoduls 
iiberwacht; uber einen Abschaltpfad kann das Radmodul im 
40 Fehlerfall in den sicheren Zustand uberfuhrt werden. 

ErfindungsgemaB kann ein elektroiiiechanisches Brems- 
system, insbesondere fiir Kraftfahrzeuge, einen Pedalsimu- 
lator zum redundanten Erfassen einer Fahrerbetatigung ei- 
nes Bremspedals mittels einer geeigneten Sensorik enthal- 
45 ten. Weiterhin kann ein Zentralmodul vorgesehen sein, das 
einen Bremssollwert basierend auf den Ausgangssignalen 
der Sensorik erniittelt. Daruber hinaus kann zumindest ein 
Bremsmodul zum Ansteuern von zumindest einer Rad- 
bremse vorgesehen sein, wobei die Ansteuerung basierend 
50 auf dem Bremssollwert erfolgen kann. Weiterhin ist eine 
Datenubertragungseinheit vorgesehen, die eine Datenver- 
bindung zwischen dem Zentralmodul und dem Bremsmodul 
herstellt, wobei das Zentralmodul eine Fehlererkennungs- 
schaltung aufweisen kann, die einen Fehler bei der Ermitt- 
55 lung des Bremssollwerts erkennen kann. 

Wichtig ist, daB das Zentralmodul Notlauffahigkeit be- 
sitzt und dadurch zu der verlangten hohen Betriebssicherheit 
des Systems einen entscheidenden Beitrag leisten kann. 
Das Zentralmodul kann zur Ermittlung des Bremssoll- 
60 werts hohere Funktionen des Bremssy stems beriicksichtigen 
und kann weiterhin zumindest drei redundante Rechner auf- 
weisen, die den Bremssollwert basierend auf den Ausgangs- 
signalen der Sensorik ermitteln. Weiterhin konnen auf zu- 
mindest zwei dieser redundanten Rechner des Zentralmo- 
65 duls hohere Funktionen (ABS, ASR, ESP . . .) des Brcmssy- 
stems implementien sein. 

GemaB der Erfindung lassen sich sowohl die Radbrems- 
module bzw. die Radbremsen als Einzelsysteme mit einer 
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cinfachen SchniUslelle, als auch ein kostengiinstiges Ge- 
samtsystem anbieten. Das gilt insbesondere, wenn das Zen- 
tralmodul int Pedalsirnulator integriert ist. Wcilerhin kann 
mil. der erfindungsgemaBen Sy.stemarchilekt.ur ohne weilerc 
Nachteile, wie einera erhohten Verkabelungsaufwand oder 5 
cincr mangelndcn Storsicherheit eine Diagonal- oder eine 
TT-Kreisaufteilung realisiert werden. Der Installationsauf- 
wand fiir den Kfz-Hersteller ist inininial und der Verkabe- 
lungsaufwand nur sehr gering. Wcilerhin sind klare und cin- 
fache Schnitlslcllen bcim Zentralniodul und bei den Radmo- to 
dulen vorgesehen. so daB eine einfache Testbarkeit des Ge- 
sanilsystems crnioglicht wird und der Kommunikationsauf- 
wand /.wischen den einzelnen Modulen reduziert werden 
kann. Dureh kurze Analogleitungen und einem Leistungs- 
vcrsliirker, der nahe dem Aktor vorgesehen ist, ergibt sich 15 
eine nolle aktive und passive Storsicherheit. Weiterhin kann 
crfindungsgcmaB eine sehr geringe Degradation (Funktions- 
vcrlusl) ini Fehlerfall crziclt werden. Zudcm ist cin sichcr- 
heiiskrilisches Zuspannen einer Bremse - mit und ohne Vor- 
liegen eines Bremswunsches - infolge eines Fehlers in ei- 20 
neni Rechner, der Lcistungselektronik oder des Aktors mit 
Sensoren nicht moglich. 

Ini lolgcndcn werden Ausfiihrungsbeispiele der Erfln- 
dung u nl Kind der bei licgenden schematise hen Zeichnung 
nalicr erlauicrt. 25 

Die Figur /eigi ein schematisches Blockschaltbild gemaB 
einer Ausluhrungslbrm der Erfindung. 

Die lljiur /cigt einen Pedalsirnulator 1 mit einem sche- 
matised unuedeuleten Bremspedal 2. Das Bremspedal 2 
h/w. die liewegung des Brcmspedals 2 kann beispielsweise 30 
uber eine Sensorik 3, die mindestens drei Sensoren aufweist, 
erfaBl werden. lis konnen z. B. zwei Wegsensoren und ein 
Kraftseiisor verweiklet werden. Die Ausgangssignale dieser 
Sensorik 3 konnen analoge Ausgangssignale sein. Es ist je- 
cloch uueh den k bar, dafi die Sensorik insgesamt oder teil- 35 
weisc Diiiitalausyaben oder andere Ausgaben oder andere 
Mettg rotten cr/eugi. 

Diese Ausgangssignale werden pro Signal (z. B. uber ge- 
trennte IxMiungen) zu einem Zentralmodul 6 gefuhrt und 
don in getrennten Mefikanalen erfaBt. Diese MeBkanale 40 
konnen niehl dargeslellle Analog-/Digital-Wandler aufwei- 
sen, die Analogsignale in Digitalsignale umwandeln kon- 
nen. 

Es ist jedoch auch denkbar, daB die redundanten Signale 
des Pedalsimulators 1 lediglich einfach zum Zentralniodul 6 45 
ubenragen werden und dort jeweils auf zumindest zwei 
McBkanale aufgeteilt werden. Wenn beispielsweise drei Pe- 
dalsensoren verwendet werden, ist es gunstig, die Signale 
auf drei getrennte MeBkanale bzw. drei getrennte Analog- 
/Digit al-Wandler zu fuhrcn (sofem die Pedalsensoren Ana- 50 
logsignale ausgeben), wobei mindestens zwei der Rechner 
11, 12, 13 des Zentralmoduls 6 die gewandelten Daten erhal- 
ten. Dadurch erhalten die beiden Rechner des Zentralmoduls 
6 identische Eingangsdaten. 

An dieser S telle soli angemerkt werden, daB die vom Pe- 55 
dalsimulator 1 ubertragenen Daten fehlerhaft sein konnen. 
Die Datenkonsolidierung, d. h. die Erkennung defekter Sen- 
soren oder Hardware (z. B. des Verstarkers oder der A/D- 
Wandler) und die Ermittlung des Bremssollwerts erfolgt im 
Zentralniodul 6. 60 

Weiterhin ist je ein Datenbus 5 vorgesehen, welcher das 
Zentralniodul 6 mit je zwei Bremsmodulen 7 verbindet, wo- 
bei die Bremsmodule 7 jeweils ein Aktor/Rad-Paar 8, 9 ent- 
halten. Jedes Aktor/Rad-Paar 8, 9 ist hierbei einem Fahr- 
zcugrad zugcordnct (VR-vornc rcchts, VL-vornc links, HR- 65 
hinten rechts und HL-hinten links). 

Im folgenden soil nun beispielshaft eine Funktionsbe- 
schreibung der Systemarchitektur gemaB der Figur gegeben 
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werden. 

Zusammenfassend betrifft die Erfindung Architektur- 
Redundanz- und Sicherheitskonzepte fur elektromechani- 
sche Bremssysleme (Brake-by- Wire). Das Rremssystcm 
ent halt den Pedalsirnulator 1 mil redundanter Sensorik 3, ein 
dreifach-redundantes Zentralniodul 6 und vier Radbrems- 
module 7. Die Radbremsmodule 7 bestehen aus einem 
Rechner 11 (Rl, R2, R3, R4) einer Leistungselektronik, ei- 
nem Aktor 8, aktorspezifischen Sensoren und einem zuge- 
ordneten Rad 9, Das Zentralniodul 6 und die Radmodule 7 
sind mil. mindestens einem Datenbus 5 verbunden. Weiter- 
hin ist das Zentralmodul 6 in einem Gehause 10 des Pedalsi- 
mulators 1 integriert. 

Der Fahrerbremswunsch wird im Pedalsirnulator 1 mit 
den beispielsweise oben angefuhrten Sensoren ermittelt, 
wobei die Sensoren bevorzugt redundant und dissimilar auf- 
gebautsind (z. B. Pedalweg und FuBkraft). Wie ebenso oben 
schon angefiihrt. ist, konnen nur diese Scnsorsignalc einfach 
oder doppelt zum Zentralmodul 6 ubertragen werden. Die 
Signale werden hierbei auf mindestens zwei Me(3kanale auf- 
geteilt, so daB eine Redundanz auch hier erzielt werden 
kann. 

Das Zentralmodul 6 kann zunachst derart ausgebildet 
sein, daB alle Funktionen (Grundbremsfunktionen, Uberwa- 
ehung des Pedalsimulators 1 und hohere B reins funktionen) 
auf alien Rechnern 11. 12, 13 des Zentralmoduls 6 gleich 
sind (diese Ausftihrungsfomi ist nicht dargestelk). Aus drei 
Rechenergebnissen wird uber eine fehlertolerante Voter/ 
Monitor-Struktur ein fehlerfreier Ausgangswert ermittelt. 

Damit ergibt sich eine fehlertolerante Struktur fur diese 
Funktionen. 

Wie in der Figur dargestellt ist. kann auch einedissimilare 
Aufteilung im Zentrahnodul 6 realisiert werden. Hierbei 
sind die hoheren Funktionen (ABS, ASR, ESP usw.) nur auf 
zwei Rechnern 11, 13 implementiert. Die Ennittlung der 
Grund-bremsfunktionen und die Uberwachung des Pedalsi- 
mulators 1 kann auf alien drei Rechnern 11, 12, 13 imple- 
mentiert sein. Alle drei Rechner 11, 12, 13 haben Zugriff auf 
zumindest zwei getrennte MeBkanale (nicht dargestellt). 

Die hoheren Funktionen werden durch einen nicht darge- 
stellten Vergleicher uberwacht und im Fehlerfall , werden 
diese Funktionen in den Rechnern 11, 13 abgeschaltet, wo- 
durch eine Fail-Silent-Funktion realisiert wird. Insbeson- 
dere sei angemerkt, daB bei einem Fehlerfall bei der Ermitt- 
lung der hoheren Funktionen natiirlich nicht notwendiger- 
weise der gesamte Rechner 11, 13 abgeschaltet werden muB, 
sondern daB es genugen kann, nur den entsprechenden Pro- 
grammteil zu deaktivieren. Die Ergebnisse der Pedalfunk- 
tionen, d. h. die Ermittlung der Grundbremsfunktionen ohne 
Uberlagerung mit den hoheren Funktionen werden durch 
den Voter/Monitor 4 konsolidiert und uberwacht. Bei Aus- 
fall der hoheren Funktionen wird der Bremssollwert ohne 
eine Uberlagerung durch die hoheren Funktionen direkt an 
die Bremsmodule 7 ausgegeben. 

Wenn ein Fehler nur im Bereich der hoheren Funktionen 
auftaucht, sind nach wie vor noch drei Rechner 11, 12, 13 
fur eine Grundbremsfunktion zur Verfugung, wobei nach 
wie vor ein fehlerhafter Rechner 11, 12, 13 iiber den Voter/ 
Monitor 4 isoliert und abgeschaltet werden kann. Der Voter 
4 wurde beispielsweise aus den drei Ausgangen der Rechner 
11, 12, 13 einen Bremssollwert auswahlen. Der Monitor 
wurde dann uberprufen, ob das ausgewahlte Signals im Ver- 
gleich zu den anderen nicht ausgewahlten Signaien ab- 
weicht (sich verschlechtert oder falsch ist) und wiirde ein 
andcrcs Signal als ausgcwahltcs Signal wahlcn, wenn cine 
Abweichung ermittelt wird. 

Die Notwendigkeit, bei einem Fehler zwei der Rechner 
11, 12, 13 abzuschalten, besteht nicht. Die Zuverlassigkeit 
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des Breinssyslems ist damit glcich oder hoher als mil der 
Rechnerstruktur mit gleicher Aufteilung, siehe oben. Dies 
gilt naturlich in Verbindung mit. dent Vorsehen von zwei 
Hnergieversorgungen Ball, Bat2. Wurden drei Energiever- 
sorgungen verwendet werden, so konnte bei einer gleichen d 
Aufteilung (siehe oben) eine nochmalige Erhohung der Red- 
undanz erzielt werden. 

Die Brernsinodule 7 bestehen aus einem Bremsmodul- 
rechner 11 (Rl, R2, R3 ? R4) der Leistungselektronik, dem 
Aktor 8 mit den aktorspezifischen Sensoren (z. B. zur Erfas- !0 
sung des Aktorstroms, der Aktorspannkraft und der Aktor- 
position) und einer testbaren Abschalteinheit 14 fur die 
Spannungsversorgung des Aktors 8. 

Dutch die externe Abschalteinheit 14 ist sichergestellt, 
daB ein Fehler in der Leistungselektronik die Funklion der 15 
Abschaltung nicht beeinfluBt. 

Redundanz innerhalb des Radmoduis 7 ist nicht notwen- 
dig, da es voni Zentralmodul 6 ubcrwacht wird. Erkcnnt das 
Radmodul 7 selbstandig Fehler (z. B. durch elektronische 
Uberwachung der Aktoransteuerung), so kann eine weitere 20 
Aktoransteuerung durch entsprechende Ansteuerung der 
Leistungselektronik im Radmodul 7 ausgeschlossen wer- 
den. 

Das Zentralmodul 6 kann iiber entsprechende Ruckmel- 
deleitungen vom Radmodul 7 den Status des Radmoduis 25 
uberwachen. Vorteilhaft wird hierzu eine Busstruktur, z. B. 
CAN, eingesetzt. 

Weiterhin kann das Zentralmodul 6 Radsensorik, die vom 
Radmodul 7 nicht durch Fehler beeinfluBt werden kann, zur 
Uberwachung nutzen; beispielsweise kann mit Hilfe der 30 
Raddrehzahlgeber eine Uberwachung des Bremsmomentes 
durchgefuhrt werden. 

Aus diesen Griinden ist im Radmodul 7 und in den Ver- 
bindungen zum Radmodul keine Redundanz erforderiich. 
Es mussen lediglich geeignete Einrichtungen vorhanden 35 
sein, die dem Zentralmodul 6 zur Abschaltung des Lei- 
stungspfades fur ein oder mehrere Radmodule "zur Verfii- 
gung stehen. 

Der Bremsmodulrechner des Bremsmoduls 7 braucht 
nicht fail-safe ausgebildet zu werden, d. h. das Bremsmodul 40 
7 erfullt seine spezifizierte Funktion oder schaltet sich im 
Fehlerfall selbst ab und meldet die Fehlfunktion oder verhalt 
sich im Falle eines Rechnerfehlers still (failsilent). Als 
Uberwachungsebene ist das Zentralmodul 6 vorhanden. 

An dieser S telle sei weiterhin angemerkt, daB die Brems- 45 
module 7 auch jeweils fur zwei Aktor/Rad-Paare 8, 9 ver- 
wendet werden konnen (hierbei wiirde es sich dann um ein 
Kreismodul handeln). 

Der Datenbus 5 ist zumindest einfach ausgefuhrt und mit 
je zwei Radmodulen 7 und Modul 6 verbunden. 50 

Als Energieversorgung sind zumindest zwei unabhangige 
Energieversorgungsquellen Batl, Bat2 notwendig. Bei den 
Bremsmodulen 7 kann die Aufteilung wie in der Figur dar- 
gestellt diagonal oder auch vorne/hinten erfolgen. 

Zusammenfassend ist erfindungsgemaB ein Funktionsver- 55 
lust je nach Fehler nicht vorhanden oder nur sehr gering. 
Nur bei einem Ausfall einer Energieversorgung Batl, Bat2, 
oder KurzschluB samtlicher Busleitungen zu zwei Radmo- 
dulen 7 fallen zwei Bremsen aus. Hierbei wiirde es sich um 
einen Kreisausfall handeln. Ansonsten ist immer nur eine 60 
Radbrentse 7 betroffen oder bei einem Ausfall innerhalb des 
Zentralmoduls 6 maximal die hoheren Funktionen bei vol- 
lem Erhalten der Grundbremsfunktionen. Ist die Funktions- 
aufteilung fur alle drei Rechner 11, 12, 13 des Zentralmo- 
duls 6 glcich, so hat cin Rcchncrfchicr gar kcincn Funkti- 65 
onsverlust zur Folge. Bei einem Bus Fehler konnen die 
Bremsen des jeweiligen Aktor/Rad-Paars 8 r 9 ausfallen. 
Die Systemarchitektur ist z. B. so konfigurierbar, daB bei 
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einctn Fehler nie die Hinterradbremsen allcin zur Verfugung 
stehen. Die Systemarchitektur gewalirt hierbei eine hohe 
Bremsverzogerung in alien Fehlerfallen. 

Weiterhin gewahrleistet die erfindungsgeuiaRe S>'stemar- 
chitektur, daB keine Fehlerfortpflanzung auftritt. Ein Fehler 
kann erkannt werden, bevor er sich auf andere Funktionen 
oder Module auswirkt. Weiterhin liegt eine hohe EMV-Si- 
cherheit vor, da die Storaustrahlung minimiert ist. Die Lei- 
stungselektronik zum Ansreuern der Akioren 8 ist im jewei- 
ligen Radmodul 7 integriert und am oder nahe des jeweili- 
gen Aktors 8 montiert. Weiterhin ist die Storfestigkeit hoch, 
besonders wenn das Zentralmodul 6 nahe am oder im Pedal- 
simulator 1 verbaut wird, so daB dann der analoge Signal- 
ubertragungsweg kurz ist. 

Weiterhin sei angemerkt, daB die oben beschriebenen er- 
findungsgemaBen Funktionen und Systeme bzw. Module in 
jeder beliebigen Konibination alleine oder in ihrer Gesamr- 
hcit von der Erfindung umfaBt sind. 

Patentanspruche 

1. Elektromechanisches Bremssystem, insbesoridere. 
fur Kraftfahrzeuge, mit 

einem Pedalsimulator (1) zum redundanlen Erfassen 
einer Fahrerbetaligung eines Bremspedals (2) miltels 
einer geeigneten Sensorik (3), einem Zentralmodul (6) 
zum Ermitteln eines Bremssollwerts basierend auf 
Ausgangssignalen der Sensorik (3), zumindest einem 
Bremsmodul (7) zum Ansteuern von zumindest einer 
Radbremse (8, 9) basierend auf dem Bremssollwert, 
und 

einer Datenubertragungseinheit, die eine Datenverbin- 
dung zwischen dem Zentralmodul (6) und dem Brems- 
modul (7) herstellt, wobei das Zentralmodul (6) eine 
Fehlererkennungsschaltung aufweist, die einen Fehler 
bei der Ermittlung des Bremssollwerts erkennt. 

2. Bremssystem nach Anspruch 1, dadurch gekenn- 
zeichnet, daB das Zentralmodul (6) mehrere, unabhan- 
gig voneinander betriebsfahige Mikroprozessorsy- 
steme enthalt und Notlauffahigkeit besitzt. 

3. Bremssystem nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, daB das Zentralmodul (6) zur Ermittlung 
des Bremssollwerts hohere Funktionen des Bremssy- 
stems wie beispielsweise ABS, ASR, Fahrdynamikre- 
gelungen, ICC, Bremsassistent oder Hillholder, be- 
riicksichtigt. 

4. Bremssystem nach einen oder mehreren der An- 
spruche 1 bis 3, dadurch gekennzeichnet, daB das Zen- 
tralmodul (6) in einem Gehause (10) des Pedalsimula- 
tors (1) integriert ist. 

5. Bremssystem nach zumindest einem der vorange- 
henden Anspruche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) eine Datenkonsoiidierung zur Erken- 
nung von Storungen des Pedaimoduls (1) und/oder des 
Zentralmoduls (6) durchfuhrt. 

6. Bremssystem nach zumindest einem der vorange- 
henden Anspruche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) drei redundante Rechner (11, 12, 13) 
aufweist, die den Bremssollwert basierend auf Pedal- 
funktionen ermitteln und auf zumindest zwei dieser 
redundanten Rechner (11, 13) zusatzlich die hoheren 
Funktionen des Bremssystems implementiert sind. 

7. Bremssystem nach zumindest einem der vorange- 
henden Anspruche, dadurch gekennzeichnet, daB zu- 
mindest zwei unabhangige Energieversorgungsquellen 
(Batl, Bat2) vorgesehen sind und jede Energieversor- 
gungsquelle (Batl, Bat2) mindestens einen Rechner 
(11, 12, 13) versorgt. 
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8. Brcmssysleni nach zumindesl einem der vorange- 
hendcn Anspriiche, dadurch gekcnnzcichnct, daB das 
Zentralniodul (6) zum Konsolidieren und Uberwaehen 
dor Pedal funktionen einen Voler/Monitor (4) aufweist. 
und ein Vergleicher gebildet ist, der die Rechner (11, 5 
13), wclehc die hoheren Funktionen ausfiihren, iibcr- 
wachl, wobei im Fehlerfall diese Funktionen abge- 

sc halt el werden, was einer Fail-Silent -Funk lion ent- 
spricht. 

9. Brernssystem nach zutnindest cincin der vorange- 10 
hendcn Anspriiche, dadurch gekennzcichnet, daB das 
Zentralniodul (6) die redundant en Ausgangssignale des 
Pedalsiinulalors (1) zuniindest zwci getrenntcn MeBka- 
niilen (A/D-Wandler) zufuhrt, wobei zuniindest zwei 
Rechner (von 11, 12, 13) die von den MeBkanalen 15 
(A/D-Wandler) gewandelten Daten erhallen. 

10. Brenissysiem nach zuniindest einem der vorange- 
henden Anspriichc 8, dadurch gekcnnzcichnct, daB die 
Dalenubertragungseinheit zwischen dein Zentralniodul 
(6) und den Radmodulen (7) ein Datenbus (5) ist. 20 

11. Breinssystem nach zumindest einem der vorange- 
henden Anspriiche, dadurch gekennzcichnet, daB der 
Pedalsimulator (1) zwei Pedalwegsensoren und einen 
Pedal k rati sensor aufweist. 

12. BrciiLssyslem nach zuniindest einern der vorange- 25 
hendcn Anspriiche, dadurch gekennzeichnet, daB das 
Bremsmodul (7) eine Fehlererkennung basierend auf 
lokalen akiorspezifischen Signalen wie beispielsweise 
Aklorstrom, Aktorposition, Spannkraft durchfuhrt und 
bei einer Fehlererkennung eine entsprechende Mel- 30 
dung an das Brenissysiem ausgibt, sich abschaltet. und/ 
oder eine Brenissollwertanpassung durchfuhrt. 

13. Breinssystem nacli zuniindest einem der vorange- 
henden Anspriiche 1 bis 12, dadurch gekennzeichnet, 
daB die Fehlererkennung modellgestutzt. ist. 35 

14. Brenissysiem nach zuniindest einem der vorange- 
henden Anspriiche, dadurch gekennzeichnet, daB das 
Bremsmodul (7) cine von einer Leistungselektronik ge- 
trennte Abschaltcinheit (14) mitZugriffdurch das Zen- 
tralniodul (6) aufweist. 40 

15. Breinssystem nach zuniindest einem der vorange- 
henden Anspriiche, dadurch gekennzeichnet, daB das 
Zentralniodul (6) eine Abschalteinheit (14) aufweist. 

16. Breinssystem nach zuniindest einem der vorange- 
henden Anspriiche, dadurch gekennzeichnet, daB die 45 
Abschalteinheit. (14) als Teil der Leistungselektronik in 
dem Bremsmodul (7), auf das das Zentralniodul (6) ei- 
nen Zugriff besitzt, ausgebildet ist. 

17. Verfahren zur Steuerung eines elektromechani- 
schen Bremssystems, insbesondere fur Kraftfahrzeuge, 50 
mil den Schritten: 

redundantes Erfassen einer Fahrerbetatigung eines 
Bremspedals (2) mittels einer geeigneten Sensorik (3) 
in einem Pedalsimulator (1), 

Ennitteln eines Bremssollwerts basierend auf Aus- 55 
gangssignalen der Sensorik (3) in einem Zentralmodul 

(6) , 

Ansteuern von zuniindest einer Radbremse (8, 9) ba- 
sieren- auf dem Bremssollwert in einem Bremsmodul 

(7) , und 60 
Hers telle n einer Datenverbindung zwischen dem Zen- 
tralmodul (6) und dem Bremsmodul (7), wobei eine 
Fehlererkennungsschaltung einen Fehler bei der Er- 
mittlung des Bremssollwerts erkennt. 
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